CVE-2026-85247

सारांश

Apache Camel Knative घटक में अनुचित प्रमाणपत्र सत्यापन (Improper Certificate Validation) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब Knative HTTP क्लाइंट पर SSL सक्षम किया गया था लेकिन कोई truststore कॉन्फ़िगर नहीं किया गया था, तो क्लाइंट विकल्प JVM के डिफ़ॉल्ट ट्रस्ट एंकर के बजाय प्रस्तुत प्रत्येक प्रमाणपत्र पर भरोसा करने पर वापस चले गए। इसलिए, एक डिप्लॉयमेंट जिसने truststore कॉन्फ़िगर किए बिना TLS चालू किया, उसे बिना पीयर प्रमाणीकरण के एक एन्क्रिप्टेड कनेक्शन प्राप्त हुआ, जिसे नेटवर्क पथ पर तैनात एक हमलावर समाप्त कर सकता है और पढ़ सकता है। यह खतरनाक स्थिति स्पष्ट ऑप्ट-इन के बजाय चूक (omission) से पहुँचती है, और यही इसे एक फ्रेमवर्क दोष बनाता है: TLS चालू करना ही वह चीज़ नहीं होनी चाहिए जो प्रमाणपत्र सत्यापन बंद कर दे। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। कोई truststore कॉन्फ़िगर न होने पर अब ट्रस्ट विकल्प अनसेट छोड़ दिए जाते हैं ताकि JVM के डिफ़ॉल्ट ट्रस्ट एंकर लागू हों, वही फ़ॉलबैक जो SSLContextParameters और Camel के बाकी हिस्से उपयोग करते हैं। प्रत्येक प्रमाणपत्र पर भरोसा करना अब केवल trust.all प्रॉपर्टी के माध्यम से स्पष्ट रूप से अनुरोध करने पर ही प्राप्त होता है, जो स्व-हस्ताक्षरित प्रमाणपत्र वाले क्लस्टर के विरुद्ध विकास के लिए उपलब्ध रहता है। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उन्हें जहाँ भी SSL सक्षम हो वहाँ स्पष्ट रूप से truststore कॉन्फ़िगर करना चाहिए। अपग्रेड करने के बाद, जो डिप्लॉयमेंट अंतर्निहित trust-all व्यवहार पर निर्भर था, उसे या तो truststore कॉन्फ़िगर करना होगा या trust.all प्रॉपर्टी को जानबूझकर सेट करना होगा।

स्रोत

• CVE-2026-85247PoC

  CVE-2026-85247 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो camel-knative TLS trust-all फ़ॉलबैक को प्रदर्शित करता है और फ़िक्स का सत्यापन करता है।